Si vous ne connaissez pas la réponse de tête, elle est probablement plus élevée que vous ne le pensez. Dans les PME que nous auditons, la liste des comptes disposant de droits étendus contient presque toujours d'anciens prestataires, des comptes techniques dont l'origine est oubliée, et deux ou trois collaborateurs à qui ces droits avaient été donnés pour une raison ponctuelle.
Ces comptes sont ceux qui permettent de tout faire, y compris d'effacer les traces et de supprimer les sauvegardes. C'est pour cette raison qu'un attaquant les cherche en priorité, et c'est pour cette raison qu'ils méritent un traitement à part.
Établir la liste, ce qui est déjà l'essentiel du travail
Personne ne peut protéger ce qu'il n'a pas recensé. La première étape consiste donc à dresser la liste des accès privilégiés, ce qui prend généralement une demi-journée et réserve des surprises.
Quatre familles sont à couvrir. Les administrateurs de l'annuaire et des serveurs. Les comptes d'administration des équipements réseau et du pare-feu. Les accès administrateur des applications métier, souvent détenus par un utilisateur clé plutôt que par l'informatique. Et les accès des prestataires, qui sont les plus fréquemment oubliés.
Il faut y ajouter les comptes de service, ceux qui font tourner une sauvegarde ou une interface entre deux applications. Ils disposent souvent de droits très larges, leur mot de passe n'a jamais changé, et il est parfois écrit en clair dans un fichier de configuration.
Séparer le compte d'administration du compte de travail
C'est la mesure qui change le plus de choses pour l'effort le plus modeste. Une personne qui administre le système doit disposer de deux comptes, un pour son travail quotidien, messagerie et bureautique, et un autre pour les opérations d'administration.
La raison est directe. La messagerie et la navigation sont les deux principaux points d'entrée. Si elles s'exécutent sous un compte à privilèges, une seule pièce jointe piégée suffit à donner à l'attaquant les clés de l'entreprise.
Avec deux comptes distincts, le même incident compromet une session bureautique ordinaire, ce qui reste sérieux mais réparable.
Le compte partagé, à traiter en priorité
Le compte administrateur unique dont plusieurs personnes connaissent le mot de passe est encore courant. Il pose deux problèmes distincts.
Le premier est l'absence de traçabilité. Après une manipulation malheureuse ou une intrusion, les journaux indiquent que le compte administrateur a agi, ce qui n'apprend rien.
Le second est la rotation. Ce mot de passe n'est jamais changé, y compris quand une des personnes qui le connaissait quitte l'entreprise ou change de prestataire.
Le remplacement par des comptes nominatifs est presque toujours possible sur les systèmes récents. Là où il ne l'est pas, un coffre-fort de mots de passe qui délivre l'accès en le journalisant rétablit une partie de la traçabilité.
L'authentification renforcée sur ces comptes d'abord
Si le déploiement du second facteur ne peut pas être général tout de suite, les comptes à privilèges sont ceux par lesquels commencer. Ce sont eux qui donnent le plus de pouvoir à qui les détourne, et ils concernent peu de personnes, ce qui rend le déploiement rapide.
Cette priorité vaut aussi pour les accès distants d'administration, qui cumulent deux risques, des droits étendus et une exposition depuis l'extérieur.
Le prestataire qui administre votre système
Beaucoup de PME confient l'administration à un prestataire, et c'est un choix raisonnable. Ce qui l'est moins est de ne pas savoir combien de ses techniciens disposent d'un accès, ni depuis quand.
Trois demandes sont légitimes et bien accueillies par les prestataires sérieux. Un compte nominatif par intervenant plutôt qu'un compte partagé au nom de la société. Un accès ouvert à la demande plutôt qu'en permanence. Et la remise, à votre demande, de la liste des connexions sur une période donnée.
Il faut y ajouter une question rarement posée. Si vous changez de prestataire demain, comment reprenez-vous la main sur vos systèmes. La réponse doit exister avant d'en avoir besoin, sous la forme d'un accès administrateur de secours que vous détenez et que vous avez testé.
Le compte de secours
Ce compte, non utilisé au quotidien, avec un mot de passe long conservé hors ligne dans un endroit sûr, sert le jour où plus rien d'autre ne fonctionne, une panne d'annuaire, un départ conflictuel ou une rupture avec un prestataire.
Il doit être testé une fois par an, sans quoi vous découvrirez au mauvais moment qu'il a expiré ou que le mot de passe conservé n'est plus le bon.
Ce qui suffit dans une petite structure
Une revue annuelle de la liste des comptes à privilèges convient, à condition d'être réellement faite et écrite. Elle consiste à confirmer que chaque compte correspond encore à une personne présente et à un besoin actuel.
Deux événements se traitent en revanche immédiatement, le départ d'une personne disposant de ces droits et la fin d'un contrat de prestation. Ce sont eux qui produisent les comptes orphelins que la revue annuelle retrouve un an plus tard.
Questions fréquentes
Faut-il vraiment deux comptes pour un administrateur ?
Oui, et c'est l'une des mesures les plus efficaces au regard de son coût. La messagerie et la navigation sont les principaux points d'entrée. Si elles tournent sous un compte à privilèges, une pièce jointe piégée donne à l'attaquant le contrôle complet du système. Avec deux comptes séparés, le même incident reste limité à une session bureautique.
Notre prestataire refuse les comptes nominatifs, est-ce normal ?
Non, c'est un signal à prendre au sérieux. Les prestataires sérieux acceptent sans difficulté un compte par intervenant, car cela les protège aussi en cas de litige. Un refus révèle généralement une organisation interne qui n'a pas évolué, et il mérite d'être remis sur la table au renouvellement du contrat.
Que faire des comptes de service dont personne ne connaît l'usage ?
Ne pas les supprimer sans précaution, car ils font parfois tourner une sauvegarde ou une interface indispensable. La méthode sûre consiste à les désactiver plutôt que les effacer, à attendre quelques semaines, et à voir si quelque chose s'arrête. Documentez ceux qui se révèlent nécessaires, en notant leur rôle et leur responsable.
Comment reprendre la main si l'on change de prestataire ?
En préparant un compte administrateur de secours avant d'en avoir besoin, détenu par l'entreprise, avec un mot de passe long conservé hors ligne en lieu sûr. Testez-le une fois par an. C'est la seule garantie qu'une rupture de contrat, même conflictuelle, ne vous prive pas de l'accès à vos propres systèmes.